무슨 일이 일어났나
러시아 군사정보국(GRU) 산하 해킹 그룹 APT28(Fancy Bear)이 우크라이나 정부 및 인프라 네트워크에 AI 기반 자율 악성코드를 배포한 사실이 확인됐다. 2025년 상반기 우크라이나에서 보고된 사이버 사건은 3,018건으로, 2024년 하반기 2,575건 대비 17% 이상 증가했다.
이번 공격의 핵심은 기존과 근본적으로 다르다. 악성코드가 네트워크에 침투한 뒤, 외부 AI 모델에 실시간으로 쿼리를 보내며 다음 행동을 스스로 결정한다. "다음에 뭘 해야 하지?"라고 AI에게 물어보는 셈이다.
FDD(Foundation for Defense of Democracies), The Hacker News, CNAS 등 복수의 보안 매체와 싱크탱크에서 이 새로운 공격 패러다임을 확인했다.
AI 자율 악성코드의 작동 방식
기존 악성코드는 공격자가 사전에 코딩한 명령을 순서대로 실행하는 정적(static) 방식이었다. 환경이 바뀌면 대응하지 못하고, C2(Command & Control) 서버의 지시를 기다려야 했다.
APT28의 새로운 악성코드는 다르다:
| 단계 | 기존 방식 | AI 자율 방식 | |------|----------|-------------| | 초기 침투 | 피싱 메일 + 알려진 취약점 | AI가 생성한 피싱 메시지 + 취약점 자동 탐색 | | 내부 탐색 | 사전 코딩된 스캔 패턴 | AI가 네트워크 환경을 분석해 최적 경로 판단 | | 횡적 이동 | 고정된 이동 경로 | AI가 실시간으로 "어디로 이동할까?" 결정 | | 데이터 탈취 | 미리 지정된 파일 유형 수집 | AI가 가치 있는 데이터를 자체 판별 | | 파괴/은닉 | 타이머 기반 실행 | AI가 탐지 위험도를 계산해 최적 시점 결정 |
일부 악성코드 샘플에서는 AI가 직접 코드를 생성한 흔적도 발견됐다. 피싱 메시지의 문체와 구조에서도 AI 생성 징후가 뚜렷하게 나타났다.
비유하자면, 기존 악성코드가 "미리 짠 지도대로 움직이는 로봇"이었다면, 새 악성코드는 "현장에서 AI 내비게이션에 실시간으로 길을 물어보는 로봇"이다.
왜 이것이 게임 체인저인가
이 공격이 보안 업계에 충격을 준 이유는 세 가지다:
-
탐지가 극도로 어렵다. 악성코드의 행동 패턴이 매번 달라지므로, 시그니처 기반 탐지(백신이 "이런 패턴이면 악성"이라고 판단하는 방식)가 무력화된다.
-
대응 시간이 줄어든다. 기존에는 C2 서버 통신을 차단하면 악성코드가 멈췄다. 하지만 AI 쿼리 기반 악성코드는 다양한 경로로 AI에 접근할 수 있어 단일 차단이 어렵다.
-
확장성이 높다. 하나의 AI 모델이 수천 개의 감염 노드에 동시에 "조언"을 제공할 수 있다. 공격자가 각 노드를 일일이 관리할 필요가 없다.
CSIS(Center for Strategic and International Studies)와 Mezha 등에 따르면, 이 위협의 심각성을 인지한 우크라이나 의회는 2025년 10월 9일 사이버군 창설 법안을 통과시켰다. 국가 차원에서 사이버 방어를 군사 조직으로 격상한 것이다.
방어 측의 대응
AI 자율 악성코드에 대응하려면 방어도 AI로 진화해야 한다:
-
행동 기반 탐지(Behavioral Detection) 강화: 시그니처가 아닌, 프로세스의 비정상 행동 패턴을 실시간 분석하는 EDR(Endpoint Detection & Response) 솔루션을 배포한다.
-
AI 쿼리 트래픽 모니터링: 내부 네트워크에서 외부 AI API로 나가는 비정상 트래픽을 감시한다. 업무용으로 허가되지 않은 AI 엔드포인트 접속을 차단한다.
-
네트워크 세그멘테이션 강화: 횡적 이동을 차단하기 위해 네트워크를 세밀하게 분리한다. 한 구역이 감염되더라도 AI가 다른 구역으로 이동할 수 없도록 한다.
-
위협 인텔리전스 공유: APT28의 새로운 TTP(전술, 기법, 절차)에 대한 IOC(Indicators of Compromise)를 CERT-UA, CISA 등과 실시간으로 공유한다.
-
AI 레드팀 훈련: 방어팀이 직접 AI 기반 공격 시나리오를 시뮬레이션하여, 자율 악성코드에 대한 대응 능력을 사전에 확보한다.
참고 자료
- FDD, "Russia's AI-Enabled Cyber Operations Against Ukraine" (2025)
- The Hacker News, "APT28 Deploys AI-Guided Malware in Ukraine Campaign" (2025)
- CNAS, "Artificial Intelligence and the Future of Cyber Conflict" (2025)
- Mezha, "Ukraine Parliament Passes Cyber Forces Bill" (2025.10.9)